Warum das gesamte ABM-Ökosystem, einschliesslich ABM Station, auf UNIX steht
Stellen Sie sich vor: Am Dienstag wird einer Buchhalterin das Notebook gestohlen. Noch am selben Tag ist die Maschine von allen Systemen getrennt, ihre Festplatte ist verschlüsselt, und Bücher, Mails und Arbeitsunterlagen leben nicht auf ihr. Eine neue Station wird nach derselben Liste aufgebaut wie die alte, und sie arbeitet dort weiter, wo sie aufgehört hat. Die Bücher sind unversehrt, und der Dieb hat sie nicht bekommen.
Das beschreibt keine Versicherung. Es beschreibt, wie das Betriebssystem gebaut ist, auf dem seit fünfzig Jahren Banken, Börsen und das Internet selbst laufen und auf dem das gesamte ABM-Ökosystem steht: Server, Sicherungskopien und die Arbeitsplätze ABM Station. Im Folgenden erkläre ich, warum das keine Geschmacksfrage ist, sondern die Frage, wer wem seine Daten anvertraut.
1999 betreute ich zusammen mit meinem Sohn und einem weiteren Fachmann einen Cluster aus Dutzenden Computern, der für Zehntausende Endkunden arbeitete. Alle diese Maschinen liefen unter FreeBSD, einer Implementierung von UNIX. Drei Menschen, Dutzende Maschinen, Zehntausende Kunden. Seither habe ich keinen Grund gesehen, etwas zu ändern.
UNIX entstand 1969, als ein Computer so viel kostete, dass ein einzelner Mensch ihn nicht besitzen konnte. An ihm arbeiteten Dutzende Menschen gleichzeitig. Daher die erste Annahme von UNIX: Der Computer wird geteilt, und jeder, der an ihm sitzt, kann ihn für alle anderen kaputt machen, aus Versehen oder mit Absicht.
Deshalb gibt es in UNIX seit den allerersten Versionen zwei Sorten von Menschen. Ein einziger Administrator, root: Nur er installiert Programme, konfiguriert das System und vergibt Rechte. Alle anderen sind Benutzer: Sie arbeiten mit ihren eigenen Dateien und können weder fremde anrühren noch das System selbst. Das ist eine Festung, in der jeder sein eigenes Zimmer hat, und den Schlüssel zu den Mauern hat ein einziger Mensch.
Aus derselben Annahme wuchs alles Übrige. Weil der Computer geteilt wird, bedient man ihn nicht, indem man davorsitzt: Der Administrator verbindet sich über ein Terminal, und es ist ihm gleich, wo die Maschine steht, im Nebenzimmer oder tausend Kilometer entfernt. Weil es viele Maschinen sind, verwaltet man sie alle gleich: Die Konfiguration einer UNIX-Maschine ist Text, der sich auf der zweiten, der zehnten und der hundertsten Maschine ohne jede Abweichung wiederholt, und hundert Computer sind für den Administrator ein einziger grosser Computer. So funktioniert jedes Rechenzentrum der Welt; alle fünfhundert leistungsstärksten Supercomputer der Erde laufen unter Linux, einem weiteren Zweig derselben Familie. Und weil auch die Daten geteilt werden, hält man sie auf Servern und kopiert sie nach Zeitplan. Der Computer am Terminal ist ein Fenster ins System, nicht sein Speicher.
DOS entstand 1981 mit der gegenteiligen Annahme: Das ist ein persönlicher Computer, an ihm sitzt ein einziger Mensch, der zugleich sein Besitzer ist, und seinem eigenen Computer tut er nichts Böses an. Deshalb gab es in DOS weder Benutzer noch Rechte noch Schutz. Für seine Zeit war das die richtige Antwort.
Dann kamen die Netzwerke, das Internet und fremde Programme, und die Annahme «dem Besitzer ist alles erlaubt» wurde zum Loch. Windows ist längst nicht mehr DOS: Seit Mitte der Neunzigerjahre steckt darin ein anderes System, mit Benutzerkonten und Rechten. Doch die Welt um Windows herum ist mit der alten Annahme gewachsen: Der Besitzer ist Administrator, jedes Programm kann sich überallhin installieren, und jeder Computer muss einzeln geschützt werden, gegen Gewohnheiten, die sich über dreissig Jahre gebildet haben. Daher die Antivirenprogramme und ihre endlosen Updates, und daher auch die Tatsache, dass mehr als acht von zehn neuen Schadprogrammen für Windows geschrieben werden (AV-TEST, 2020).
In einen solchen Computer einzubrechen heisst, die Zäune zu umgehen, die um ein Glashaus gestellt wurden. In eine UNIX-Maschine einzubrechen, deren Benutzer keine root-Rechte hat, heisst, die Mauer einer Festung aufzubrechen.
Das heisst nicht, dass eine UNIX-Maschine unverwundbar ist. Sie schützt nicht vor jemandem, der sein Passwort selbst am Telefon durchgegeben hat. Aber sie verhindert, dass ein Fehler eines einzelnen Menschen zur Katastrophe für die ganze Maschine und das ganze Netz wird. Darin liegt der ganze Unterschied.
Fast jeder, der auf einem Mac arbeitet, arbeitet auf UNIX. macOS ist ein System der UNIX-Familie: Sein Kern verbindet Mach und BSD, und viele Systemkomponenten stammen aus FreeBSD, genau dem System aus meiner Geschichte. Aber Apple verkauft den Mac als persönlichen Computer, und sein Besitzer ist zugleich sein Administrator. Die Festung steht, doch der Schlüssel zu den Mauern liegt auf dem Tischchen am Eingang.
Zur Festung wird der Mac in dem Moment, in dem man ihn wie eine UNIX-Maschine verwaltet: Der Mensch an ihm hat Benutzerrechte, es gibt nur einen Administrator, und der steht draussen, die Festplatte ist verschlüsselt, und alles, was zur Arbeit gehört, lebt nicht auf dieser Maschine. Genau das ist ABM Station.
Alles, was folgt, lässt sich überprüfen.
System. Ein Mac unter macOS. Die Festplatte ist verschlüsselt (FileVault): Ohne den Schlüssel ist eine gestohlene Maschine ein Haufen zufälliger Bytes.
Rechte. Die Buchhalterin oder der Buchhalter an der Station hat Benutzerrechte. Gearbeitet wird wie gewohnt: Browser, Mail, Dokumente, Tabellen, ABM, KI-Assistent. Was nicht geht: ein Programm ins System installieren oder dessen Einstellungen ändern; das erledigt der Administrator auf Anfrage. Der Administrator ist Arvut; sein Konto ist verborgen und wird im Arbeitsalltag nicht gebraucht.
Verwaltung. Der Administrator verbindet sich mit der Station über ein verschlüsseltes privates Netz, per Schlüssel statt per Passwort. Terminal und Fernzugriff auf den Bildschirm geben ihm fast alles, was der Platz an der Tastatur gibt: Installation, Updates, Diagnose, Austausch, ohne Anfahrt.
Monitoring. Jede Nacht werden die Stationen automatisch geprüft; am Morgen liegt bei uns ein Bericht vor: was nicht aktualisiert wurde, was nicht geantwortet hat, wo ein Mensch festhängt.
Updates. Die Werkzeuge der Station aktualisieren sich selbst, ohne Zutun des Menschen, der an ihr sitzt.
Daten. Alles, womit die Buchhalterin oder der Buchhalter arbeitet, lebt nicht auf der Station: die Bücher in ABM, Mails und Dokumente im Cloud-Office. All das liegt auf Servern in Amsterdam, mit einer täglichen Kopie in Paris und einer verschlüsselten Kopie in der Schweiz. Die Station ist ein Fenster, kein Schrank.
Verlust oder Diebstahl. Der Zugriff der Station wird zentral innert Minuten entzogen: Netz, KI-Assistent, Schlüssel zu ABM. Eine neue Station wird nach dem Standardset aufgebaut und tritt an die Stelle der alten.
Das ist die Hauptfrage, und die Antwort ist kurz: Wir tun es bereits, jeden Tag.
Die ABM-Server sind UNIX-Maschinen, die Arvut seit dem ersten Tag aus der Ferne verwaltet: dasselbe Terminal, dieselben Schlüssel, dieselben Skripte, dieselben nächtlichen Prüfungen. Für den Administrator ist eine Station eine weitere Maschine desselben Typs im selben Netz. Zehn Stationen unterscheiden sich von einer nicht in der Art der Betreuung, sondern in der Länge der Liste.
Was «betreuen» konkret heisst:
Was das nicht abdeckt und was wir nicht versprechen: Einen zerbrochenen Bildschirm und eine vollgeschüttete Tastatur repariert der Hersteller im Rahmen der Garantie, wie bei jedem Mac; das erste Entsperren der verschlüsselten Festplatte nach einem Neustart braucht einen Menschen an der Maschine. Und kein System schützt jemanden, der sein Passwort einem Fremden gegeben hat. Deshalb gehen Passwörter und Schlüssel bei uns nicht per Mail.
So sieht die Gründung eines Treuhandunternehmens heute aus, abgesehen von der Eintragung der Firma: eine Buchhaltungssoftware kaufen, Buchhalterinnen und Buchhalter anstellen, Computer kaufen, einen Vertrag mit einer IT-Firma schliessen, einen Keller mieten, um zehn Jahre lang Papier aufzubewahren.
Mit ABM schrumpft diese Liste auf einen Punkt: den Vertrag mit Arvut. Buchführung, Rechnungen, Banken, Zahlungen und Dokumente sind unsere Arbeit; die Maschine auf dem Schreibtisch, ihr Schutz, die Updates und die Sicherungskopien der Daten sind ebenfalls unsere Arbeit, mit demselben Team und auf dieselbe Weise wie die Server.
Für eine Gruppe von Treuhandunternehmen ist das genau «eine IT statt zehn». Eine zugekaufte Firma erhält Stationen nach derselben Liste wie alle anderen; ihre bisherige Software bleibt für die Historie bestehen, die Bücher ziehen per Stichtag um; die Zugriffe ausscheidender Mitarbeitender werden zentral entzogen, statt von Büro zu Büro eingesammelt. Jeder weitere Kauf ist dieselbe Festung, derselbe Standard, derselbe Administrator.
UNIX trägt seit fünfzig Jahren Banken, Börsen und das Internet selbst. Wir stellen dieselbe Festung auf den Schreibtisch in der Buchhaltung.
Pourquoi tout l'écosystème ABM, ABM Station comprise, repose sur UNIX
Imaginez : mardi, on vole l'ordinateur portable d'un comptable. Le jour même, la machine est coupée de tous les systèmes, son disque est chiffré, et les livres, les e-mails et les documents de travail ne vivent pas dessus. Une nouvelle station est assemblée d'après la même liste que la précédente, et la personne reprend le travail là où elle s'était arrêtée. Les livres sont intacts, et le voleur ne les a pas eus.
Ce n'est pas la description d'une assurance. C'est la description du système d'exploitation qui fait tourner depuis cinquante ans les banques, les bourses et Internet lui-même, et sur lequel repose tout l'écosystème ABM : les serveurs, les sauvegardes et les postes de travail ABM Station. J'explique ici pourquoi ce n'est pas une question de goût, mais une question de savoir qui confie ses données à qui.
En 1999, avec mon fils et un autre spécialiste, j'assurais l'exploitation d'un cluster de plusieurs dizaines d'ordinateurs au service de dizaines de milliers de clients finaux. Toutes ces machines tournaient sous FreeBSD, l'une des implémentations d'UNIX. Trois personnes, des dizaines de machines, des dizaines de milliers de clients. Depuis, je n'ai vu aucune raison de changer quoi que ce soit.
UNIX est né en 1969, à une époque où un ordinateur coûtait si cher qu'une personne seule ne pouvait pas le posséder. Des dizaines de gens y travaillaient en même temps. D'où le premier postulat d'UNIX : l'ordinateur est partagé, et n'importe lequel de ceux qui y sont assis peut le casser pour tous les autres, par erreur ou exprès.
C'est pourquoi UNIX connaît, depuis ses toutes premières versions, deux sortes de personnes. Un administrateur, root : lui seul installe les programmes, configure le système et distribue les droits. Tous les autres sont des utilisateurs : ils travaillent sur leurs propres fichiers et ne peuvent toucher ni à ceux des autres, ni au système lui-même. C'est une forteresse où chacun a sa chambre, et où une seule personne a la clé des murs.
Tout le reste découle du même postulat. Puisque l'ordinateur est partagé, on ne le pilote pas assis devant lui : l'administrateur se connecte par un terminal, et peu lui importe que la machine soit dans la pièce voisine ou à mille kilomètres. Puisque les machines sont nombreuses, on les pilote toutes de la même façon : la configuration d'une machine UNIX est un texte, qui se répète sur la deuxième, la dixième et la centième machine sans la moindre différence, et cent ordinateurs ne font pour l'administrateur qu'un seul grand ordinateur. Ainsi fonctionne chaque centre de données au monde ; les cinq cents supercalculateurs les plus puissants de la planète tournent tous sous Linux, une autre branche de la même famille. Et puisque les données sont partagées, on les garde sur des serveurs et on les copie selon un calendrier. L'ordinateur qui sert de terminal est une fenêtre sur le système, pas son dépôt.
DOS est né en 1981 avec le postulat inverse : c'est un ordinateur personnel, une seule personne y est assise, elle en est aussi le propriétaire, et elle ne fera pas de mal à son propre ordinateur. C'est pourquoi DOS n'avait ni utilisateurs, ni droits, ni protection. Pour son époque, c'était la bonne réponse.
Puis sont arrivés les réseaux, Internet et les programmes étrangers, et le postulat « le propriétaire a tous les droits » est devenu une brèche. Windows n'est plus DOS depuis longtemps : depuis le milieu des années nonante, il abrite un autre système, avec des comptes et des droits. Mais le monde qui l'entoure a grandi sur l'ancien postulat : le propriétaire est administrateur, n'importe quel programme peut s'installer n'importe où, et chaque ordinateur doit être protégé séparément, à rebours d'habitudes prises en trente ans. De là les antivirus et leurs mises à jour sans fin, et de là aussi le fait que plus de huit nouveaux programmes malveillants sur dix sont écrits pour Windows (AV-TEST, 2020).
Pirater un tel ordinateur, c'est contourner les clôtures dressées autour d'une maison de verre. Pirater une machine UNIX où la personne qui y travaille n'a pas les droits root, c'est s'attaquer au mur d'une forteresse.
Cela ne veut pas dire qu'une machine UNIX est invulnérable. Elle ne protégera pas de celui qui a lui-même dicté son mot de passe au téléphone. Mais elle empêche qu'une erreur d'une seule personne devienne une catastrophe pour toute la machine et tout le réseau. Toute la différence est là.
Presque tous ceux qui travaillent sur Mac travaillent sur UNIX. macOS est un système de la famille UNIX : son noyau associe Mach et BSD, et de nombreux composants système viennent de FreeBSD, le système même de mon histoire. Mais Apple vend le Mac comme un ordinateur personnel, et son propriétaire en est aussi l'administrateur. La forteresse est debout, et la clé des murs est posée sur le meuble de l'entrée.
Un Mac devient une forteresse au moment où on commence à le gérer comme une machine UNIX : la personne qui y travaille a des droits d'utilisateur, l'administrateur est unique et il est à l'extérieur, le disque est chiffré, et tout ce qui touche au travail ne vit pas sur cette machine. C'est exactement cela, ABM Station.
Tout ce qui suit peut être vérifié.
Système. Un Mac sous macOS. Le disque est chiffré (FileVault) : sans la clé, une machine volée n'est qu'un amas d'octets aléatoires.
Droits. Le comptable à la station a des droits d'utilisateur. Il travaille comme d'habitude : navigateur, e-mail, documents, tableurs, ABM, assistant IA. Ce qu'il ne peut pas faire : installer un programme dans le système ou en modifier les réglages ; l'administrateur le fait à sa demande. L'administrateur, c'est Arvut ; son compte est masqué et ne sert pas au travail de tous les jours.
Gestion. L'administrateur se connecte à la station par un réseau privé chiffré, avec une clé et non un mot de passe. Le terminal et l'écran à distance lui donnent presque tout ce que donne une place devant le clavier : installation, mises à jour, diagnostic, remplacement, sans déplacement.
Surveillance. Chaque nuit, les stations sont contrôlées automatiquement ; le matin, nous avons le rapport : ce qui ne s'est pas mis à jour, ce qui n'a pas répondu, où quelqu'un est resté bloqué.
Mises à jour. Les outils de la station se mettent à jour d'eux-mêmes, sans intervention de la personne qui y travaille.
Données. Tout ce sur quoi travaille le comptable ne vit pas sur la station : les livres sont dans ABM, les e-mails et les documents dans le bureau en ligne. Tout cela se trouve sur des serveurs à Amsterdam, avec une copie quotidienne à Paris et une copie chiffrée en Suisse. La station est une fenêtre, pas une armoire.
Perte ou vol. L'accès de la station est révoqué depuis le centre en quelques minutes : réseau, assistant IA, clés d'accès à ABM. Une nouvelle station est assemblée d'après le kit standard et prend la place de la précédente.
C'est la question principale, et la réponse est courte : nous le faisons déjà, chaque jour.
Les serveurs ABM sont des machines UNIX qu'Arvut gère à distance depuis le premier jour : même terminal, mêmes clés, mêmes scripts, mêmes contrôles de nuit. Pour l'administrateur, une station n'est qu'une machine de plus du même type sur le même réseau. Dix stations ne diffèrent pas d'une seule par la façon de les maintenir, mais par la longueur de la liste.
Ce que signifie concrètement « assurer la maintenance » :
Ce que cela ne couvre pas, et ce que nous ne promettons pas : un écran cassé et un clavier noyé sont réparés par le fabricant sous garantie, comme pour n'importe quel Mac ; le premier déverrouillage du disque chiffré après un redémarrage exige une personne devant la machine. Et aucun système ne protège celui qui a donné son mot de passe à un tiers. C'est pourquoi, chez nous, les mots de passe et les clés ne circulent pas par e-mail.
Voici à quoi ressemble aujourd'hui l'ouverture d'une fiduciaire, en plus de l'inscription de la société : acheter un logiciel de comptabilité, engager des comptables, acheter des ordinateurs, signer un contrat avec une société informatique, louer une cave pour conserver le papier pendant dix ans.
Avec ABM, cette liste se réduit à un seul point : le contrat avec Arvut. La comptabilité, les factures, les banques, les paiements et les documents sont notre travail ; la machine sur le bureau, sa protection, ses mises à jour et les sauvegardes des données aussi, avec la même équipe et de la même manière que les serveurs.
Pour un groupe de fiduciaires, c'est cela, « une seule informatique au lieu de dix ». La société rachetée reçoit ses stations d'après la même liste que les autres ; son ancien logiciel reste pour l'historique, les livres déménagent à la date de reprise ; les accès des collaborateurs qui partent sont révoqués depuis le centre, et non récupérés de bureau en bureau. Chaque rachat suivant, c'est la même forteresse, le même standard, le même administrateur.
UNIX porte sur ses épaules, depuis cinquante ans, les banques, les bourses et Internet lui-même. Nous posons la même forteresse sur le bureau du comptable.
Perché tutto l'ecosistema ABM, ABM Station compresa, poggia su UNIX
Immagini: martedì a un contabile rubano il portatile. Il giorno stesso la macchina viene scollegata da tutti i sistemi, il suo disco è cifrato, e i libri, la posta e i documenti di lavoro non vivono su quel portatile. Una nuova postazione viene allestita con la stessa lista della precedente e la persona riprende il lavoro da dove si era fermata. I libri sono intatti, e il ladro non li ha avuti.
Questa non è la descrizione di un'assicurazione. È la descrizione di come funziona il sistema operativo su cui da cinquant'anni girano le banche, le borse e internet stesso, e su cui poggia tutto l'ecosistema ABM: i server, le copie di sicurezza e le postazioni di lavoro ABM Station. Qui sotto spiego perché non è una questione di gusti, ma di chi affida i dati a chi.
Nel 1999, con mio figlio e un altro specialista, gestivo un cluster di decine di computer al servizio di decine di migliaia di clienti finali. Tutte quelle macchine giravano su FreeBSD, una delle implementazioni di UNIX. Tre persone, decine di macchine, decine di migliaia di clienti. Da allora non ho visto ragioni per cambiare.
UNIX nasce nel 1969, quando un computer costava tanto che una sola persona non poteva esserne proprietaria. Ci lavoravano in decine, contemporaneamente. Da qui il primo presupposto di UNIX: il computer è condiviso, e chiunque ci stia lavorando può romperlo per tutti gli altri, per errore o di proposito.
Per questo UNIX, fin dalle primissime versioni, conosce due categorie di persone. Un solo amministratore, root: solo lui installa i programmi, configura il sistema e distribuisce i diritti. Tutti gli altri sono utenti: lavorano con i propri file e non possono toccare né quelli altrui né il sistema. È una fortezza in cui ognuno ha la sua stanza, e la chiave delle mura ce l'ha una sola persona.
Dallo stesso presupposto è nato tutto il resto. Se il computer è condiviso, non lo si gestisce stando seduti davanti: l'amministratore si collega da un terminale, e per lui non fa differenza dove sia la macchina, nella stanza accanto o a mille chilometri. Se le macchine sono tante, le si gestisce tutte allo stesso modo: la configurazione di una macchina UNIX è un testo che si ripete sulla seconda, sulla decima e sulla centesima macchina senza la minima differenza, e cento computer, per l'amministratore, sono un unico grande computer. Così è fatto ogni data center al mondo; tutti i cinquecento supercomputer più potenti del pianeta girano su Linux, un altro ramo della stessa famiglia. E se i dati sono condivisi, li si tiene sui server e li si copia a orari stabiliti. Il computer da cui si lavora è una finestra sul sistema, non il suo archivio.
Il DOS nasce nel 1981 con il presupposto opposto: è un personal computer, davanti c'è una sola persona, che ne è anche il proprietario, e al proprio computer non farà nulla di male. Per questo nel DOS non c'erano né utenti, né diritti, né protezioni. Per i suoi tempi era la risposta giusta.
Poi sono arrivate le reti, internet e i programmi altrui, e il presupposto «il proprietario può tutto» è diventato una falla. Windows da tempo non è più DOS: dalla metà degli anni Novanta al suo interno c'è un altro sistema, con account e diritti. Ma il mondo attorno a Windows è cresciuto sul vecchio presupposto: il proprietario è l'amministratore, qualsiasi programma può installarsi dove vuole, e ogni computer va protetto singolarmente, contro abitudini che si sono formate in trent'anni. Da qui gli antivirus e i loro aggiornamenti senza fine, e da qui anche il fatto che più di otto nuovi programmi malevoli su dieci vengano scritti per Windows (AV-TEST, 2020).
Violare un computer così significa aggirare le recinzioni messe attorno a una casa di vetro. Violare una macchina UNIX, dove chi ci lavora non ha i diritti di root, significa sfondare il muro di una fortezza.
Questo non significa che una macchina UNIX sia invulnerabile. Non protegge da chi ha dettato lui stesso la sua password al telefono. Ma impedisce che un solo errore di una sola persona diventi una catastrofe per tutta la macchina e tutta la rete. Tutta la differenza è qui.
Quasi tutti quelli che lavorano su Mac lavorano su UNIX. macOS è un sistema della famiglia UNIX: il suo kernel unisce Mach e BSD, e molti componenti di sistema provengono da FreeBSD, proprio il sistema della mia storia. Ma Apple vende il Mac come computer personale, e il suo proprietario ne è anche l'amministratore. La fortezza c'è, ma la chiave delle mura sta sul mobiletto all'ingresso.
Il Mac diventa una fortezza nel momento in cui lo si comincia a gestire come una macchina UNIX: chi ci lavora ha diritti di utente, l'amministratore è uno solo e sta fuori, il disco è cifrato, e tutto ciò che riguarda il lavoro non vive su questa macchina. Questa è ABM Station.
Tutto ciò che segue si può verificare.
Sistema. Mac con macOS. Disco cifrato (FileVault): senza la chiave, una macchina rubata è un mucchio di byte casuali.
Diritti. Il contabile alla postazione ha diritti di utente. Lavora come sempre: browser, posta, documenti, fogli di calcolo, ABM, assistente IA. Quello che non può fare è installare un programma nel sistema o modificarne le impostazioni; lo fa l'amministratore su sua richiesta. L'amministratore è Arvut; il suo account è nascosto e nel lavoro quotidiano non serve.
Gestione. L'amministratore si collega alla postazione attraverso una rete privata cifrata, con una chiave e non con una password. Il terminale e lo schermo remoto gli danno quasi tutto ciò che darebbe stare alla tastiera: installazione, aggiornamenti, diagnostica, sostituzione, senza trasferte.
Monitoraggio. Ogni notte le postazioni vengono controllate in automatico; al mattino abbiamo un rapporto: cosa non si è aggiornato, cosa non ha risposto, dove una persona è rimasta bloccata.
Aggiornamenti. Gli strumenti della postazione si aggiornano da soli, senza che debba intervenire chi ci lavora.
Dati. Tutto ciò con cui lavora il contabile non vive sulla postazione: i libri stanno in ABM, la posta e i documenti nell'ufficio in cloud. Tutto questo risiede su server ad Amsterdam, con una copia giornaliera a Parigi e una copia cifrata in Svizzera. La postazione è una finestra, non un armadio.
Perdita o furto. L'accesso della postazione viene revocato dal centro in questione di minuti: rete, assistente IA, chiavi per ABM. Una nuova postazione viene allestita con la dotazione standard e prende il posto della precedente.
È la domanda principale, e la risposta è breve: lo facciamo già, ogni giorno.
I server ABM sono macchine UNIX che Arvut gestisce a distanza fin dal primo giorno: lo stesso terminale, le stesse chiavi, gli stessi script, gli stessi controlli notturni. Per l'amministratore, una postazione è una macchina in più, dello stesso tipo e nella stessa rete. Dieci postazioni si distinguono da una non per il modo di occuparsene, ma per la lunghezza dell'elenco.
Che cosa significa, in concreto, «occuparsene»:
Che cosa questo non copre, e che cosa non promettiamo: lo schermo rotto e la tastiera bagnata li ripara il produttore in garanzia, come per qualsiasi Mac; il primo sblocco del disco cifrato dopo un riavvio richiede una persona davanti alla macchina. E nessun sistema protegge chi ha dato la propria password a un estraneo. Per questo da noi password e chiavi non viaggiano per e-mail.
Ecco come si apre oggi una fiduciaria, oltre a registrare la società: comprare un programma di contabilità, assumere contabili, comprare i computer, stipulare un contratto con una ditta IT, affittare una cantina per conservare la carta per dieci anni.
Con ABM questa lista si riduce a una sola voce: il contratto con Arvut. La contabilità, le fatture, le banche, i pagamenti e i documenti sono lavoro nostro; la macchina sulla scrivania, la sua protezione, gli aggiornamenti e le copie di sicurezza dei dati sono anch'essi lavoro nostro, con lo stesso team e nello stesso modo dei server.
Per un gruppo di fiduciarie è questo il senso di «una sola IT invece di dieci». La fiduciaria acquistata riceve le postazioni con la stessa lista delle altre; il suo vecchio programma resta per lo storico, i libri si trasferiscono alla data di subentro; gli accessi dei collaboratori che se ne vanno vengono revocati dal centro, non raccolti ufficio per ufficio. Ogni acquisizione successiva è la stessa fortezza, lo stesso standard, lo stesso amministratore.
Da cinquant'anni UNIX regge sulle sue spalle le banche, le borse e internet stesso. Noi mettiamo la stessa fortezza sulla scrivania del contabile.
Why the whole ABM ecosystem, including ABM Station, stands on UNIX
Imagine: on Tuesday an accountant has their laptop stolen. That same day the machine is cut off from every system, its disk is encrypted, and the books, the mail and the working documents do not live on it. A new station is built from the same list as the old one, and the person carries on from where they stopped. The books are intact, and the thief did not get them.
This is not a description of insurance. It is a description of how the operating system is built on which banks, stock exchanges and the internet itself have run for fifty years, and on which the whole ABM ecosystem stands: servers, backups and ABM Station workplaces. Below I explain why this is not a matter of taste but a matter of who trusts whom with their data.
In 1999, together with my son and one other specialist, I looked after a cluster of dozens of computers serving tens of thousands of end clients. All those machines ran FreeBSD, one of the implementations of UNIX. Three people, dozens of machines, tens of thousands of clients. I have seen no reason to change anything since.
UNIX was born in 1969, when a computer cost so much that no one person could own it. Dozens of people worked on it at the same time. Hence the first assumption of UNIX: the computer is shared, and anyone sitting at it can break it for everyone else, by mistake or on purpose.
That is why, from its very first versions, UNIX has had two kinds of people. One administrator, root: only root installs programs, configures the system and hands out rights. Everyone else is a user: they work with their own files and can touch neither other people’s files nor the system itself. It is a fortress in which everyone has their own room, and one person holds the key to the walls.
Everything else grew out of the same assumption. Since the computer is shared, you manage it without sitting at it: the administrator connects through a terminal and does not care whether the machine is in the next room or a thousand kilometres away. Since there are many machines, you manage them all the same way: the configuration of a UNIX machine is text, repeated on the second, the tenth and the hundredth machine without a single difference, and to the administrator a hundred computers are one big computer. That is how every data centre in the world works; all five hundred of the most powerful supercomputers on the planet run on Linux, another branch of the same family. And since the data is shared, it is kept on servers and copied on a schedule. The computer at the terminal is a window onto the system, not its storage.
DOS was born in 1981 with the opposite assumption: this is a personal computer, one person sits at it, that person is also its owner, and nobody does harm to their own computer. So DOS had no users, no rights and no protection. For its time, that was the right answer.
Then came networks, the internet and other people’s programs, and the assumption ‘the owner may do anything’ turned into a hole. Windows stopped being DOS long ago: since the mid-nineties there has been a different system inside it, with accounts and rights. But the world around it grew up on the old assumption: the owner is the administrator, any program can install itself anywhere, and every computer has to be protected separately, against habits formed over thirty years. Hence antivirus software and its endless updates, and hence the fact that more than eight in ten new malicious programs are written for Windows (AV-TEST, 2020).
Hacking such a computer means getting past the fences put up around a glass house. Hacking a UNIX machine where the person sitting at it has no root rights means breaking through the wall of a fortress.
This does not mean a UNIX machine is invulnerable. It will not protect against someone who read out their own password over the phone. But it does not let one mistake by one person become a disaster for the whole machine and the whole network. That is the whole difference.
Almost everyone who works on a Mac is working on UNIX. macOS is a system of the UNIX family: its kernel combines Mach and BSD, and many system components are taken from FreeBSD, the very system from my story. But Apple sells the Mac as a personal computer, and its owner is also its administrator. The fortress stands, and the key to the walls is lying on a side table by the door.
A Mac becomes a fortress the moment it starts being managed as a UNIX machine: the person at it has user rights, there is one administrator and that administrator is outside, the disk is encrypted, and everything work-related does not live on this machine. That is ABM Station.
Everything below can be checked.
System. A Mac running macOS. The disk is encrypted (FileVault): without the key, a stolen machine is a heap of random bytes.
Rights. The accountant at the station has user rights. They work as usual: browser, mail, documents, spreadsheets, ABM, AI assistant. What they cannot do is install a program into the system or change its settings; the administrator does that at their request. The administrator is Arvut; its account is hidden and is not needed in everyday work.
Management. The administrator connects to the station through an encrypted private network, with a key rather than a password. The terminal and the remote screen give the administrator almost everything a seat at the keyboard gives: installation, updates, diagnostics, replacement, with no site visit.
Monitoring. Every night the stations are checked automatically; in the morning we have a report: what did not update, what did not respond, where someone got stuck.
Updates. The station’s tools update themselves, without any involvement from the person at it.
Data. Everything the accountant works with does not live on the station: the books are in ABM, mail and documents in the cloud office. All of this sits on servers in Amsterdam, with a daily copy in Paris and an encrypted copy in Switzerland. The station is a window, not a cupboard.
Loss or theft. The station’s access is revoked from the centre in minutes: network, AI assistant, keys to ABM. A new station is built from the standard kit and takes the place of the old one.
This is the main question, and the answer is short: we already do it, every day.
ABM’s servers are UNIX machines that Arvut has managed remotely from day one: the same terminal, the same keys, the same scripts, the same nightly checks. To the administrator, a station is one more machine of the same type on the same network. Ten stations differ from one not in how they are looked after, but in the length of the list.
What ‘looking after’ means in practice:
What this does not cover, and what we do not promise: a cracked screen or a flooded keyboard is repaired by the manufacturer under warranty, as with any Mac; the first unlock of the encrypted disk after a restart requires a person at the machine. And no system will protect someone who gave their password to a stranger. That is why our passwords and keys do not travel by email.
This is what opening a fiduciary firm looks like today, beyond registering the company: buy accounting software, hire accountants, buy computers, sign a contract with an IT company, rent a basement to keep paper in for ten years.
With ABM this list shrinks to one item: a contract with Arvut. Accounting, invoices, banks, payments and documents are our work; the machine on the desk, its protection, updates and data backups are our work too, done by the same team in the same way as the servers.
For a group of fiduciary firms, this is what ‘one IT instead of ten’ means. An acquired firm receives stations from the same list as the others; its old software stays for the record, the books move across at the cut-off date; departing staff have their access revoked from the centre, rather than collected office by office. Each subsequent purchase is the same fortress, the same standard, the same administrator.
UNIX has carried banks, stock exchanges and the internet itself on its shoulders for fifty years. We put the same fortress on the accountant’s desk.
Почему вся экосистема ABM, включая ABM Station, стоит на UNIX
Представьте: во вторник у бухгалтера украли ноутбук. В тот же день машина отключена от всех систем, её диск зашифрован, а книги, почта и рабочие документы живут не на нём. Новая станция собирается по тому же списку, что и прежняя, и человек продолжает работу с того места, где остановился. Книги целы, и вору они не достались.
Это не описание страховки. Это описание того, как устроена операционная система, на которой пятьдесят лет работают банки, биржи и сам интернет, и на которой стоит вся экосистема ABM: серверы, резервные копии и рабочие места ABM Station. Ниже я объясняю, почему это не вопрос вкуса, а вопрос того, кто кому доверяет данные.
В 1999 году я вместе с сыном и ещё одним специалистом обслуживал кластер из десятков компьютеров, который работал на десятки тысяч конечных клиентов. Все эти машины стояли на FreeBSD, одной из реализаций UNIX. Три человека, десятки машин, десятки тысяч клиентов. С тех пор я не видел причин что-то менять.
UNIX родился в 1969 году, когда компьютер стоил столько, что один человек не мог быть его владельцем. За ним одновременно работали десятки людей. Отсюда первое допущение UNIX: компьютер общий, и любой из сидящих за ним может сломать его для всех остальных, по ошибке или нарочно.
Поэтому в UNIX с самых первых версий есть два сорта людей. Один администратор, root: только он устанавливает программы, настраивает систему и раздаёт права. Все остальные — пользователи: они работают со своими файлами и не могут тронуть ни чужие, ни саму систему. Это крепость, в которой у каждого своя комната, а ключ от стен — у одного человека.
Из того же допущения выросло остальное. Раз компьютер общий, им управляют не сидя за ним: администратор подключается через терминал, и ему всё равно, где машина, в соседней комнате или за тысячу километров. Раз машин много, ими управляют одинаково: настройка UNIX-машины — это текст, который повторяется на второй, десятой и сотой машине без единого отличия, и сотня компьютеров для администратора — один большой компьютер. Так устроен каждый дата-центр в мире; все пятьсот самых мощных суперкомпьютеров планеты работают на Linux, ещё одной ветви той же семьи. И раз данные общие, их держат на серверах и копируют по расписанию. Компьютер за терминалом — окно в систему, а не её хранилище.
DOS родилась в 1981 году с противоположным допущением: это персональный компьютер, за ним сидит один человек, он же владелец, и своему компьютеру он плохого не сделает. Поэтому в DOS не было ни пользователей, ни прав, ни защиты. Для своего времени это был правильный ответ.
Потом пришли сети, интернет и чужие программы, и допущение «владельцу можно всё» превратилось в дыру. Windows давно не DOS: с середины девяностых внутри неё другая система, с учётными записями и правами. Но мир вокруг неё вырос на старом допущении: владелец — администратор, любая программа может установиться куда угодно, и каждый компьютер приходится защищать отдельно, вопреки привычкам, сложившимся за тридцать лет. Отсюда антивирусы и их бесконечные обновления, и отсюда же то, что более восьми из десяти новых вредоносных программ пишутся под Windows (AV-TEST, 2020).
Взломать такой компьютер — значит обойти ограды, выставленные вокруг стеклянного дома. Взломать UNIX-машину, где у человека за ней нет прав root, — значит ломать стену крепости.
Это не значит, что UNIX-машина неуязвима. Она не защитит от человека, который сам продиктовал свой пароль по телефону. Но она не даёт одной ошибке одного человека стать катастрофой для всей машины и всей сети. В этом вся разница.
Почти каждый, кто работает на Mac, работает на UNIX. macOS — система семейства UNIX: её ядро сочетает Mach и BSD, а многие системные компоненты взяты из FreeBSD, той самой системы из моей истории. Но Apple продаёт Mac как персональный компьютер, и его владелец — его же администратор. Крепость стоит, а ключ от стен лежит на тумбочке у входа.
Mac становится крепостью в тот момент, когда им начинают управлять как UNIX-машиной: у человека за ним права пользователя, администратор один и он снаружи, диск зашифрован, а всё рабочее живёт не на этой машине. Это и есть ABM Station.
Всё, что ниже, можно проверить.
Система. Mac под macOS. Диск зашифрован (FileVault): без ключа украденная машина — набор случайных байт.
Права. У бухгалтера за станцией — права пользователя. Он работает как обычно: браузер, почта, документы, таблицы, ABM, ИИ-ассистент. Чего он не может — установить программу в систему или изменить её настройки; это делает администратор по его просьбе. Администратор — Arvut; его учётная запись скрыта и в повседневной работе не нужна.
Управление. Администратор подключается к станции через зашифрованную частную сеть, по ключу, а не по паролю. Терминал и удалённый экран дают ему почти всё, что даёт место у клавиатуры: установка, обновления, диагностика, замена — без выезда.
Наблюдение. Каждую ночь станции проверяются автоматически; утром у нас отчёт: что не обновилось, что не ответило, где человек застрял.
Обновления. Инструменты станции обновляются сами, без участия человека за ней.
Данные. Всё, с чем работает бухгалтер, живёт не на станции: книги — в ABM, почта и документы — в облачном офисе. Всё это лежит на серверах в Амстердаме, с ежедневной копией в Париже и зашифрованной копией в Швейцарии. Станция — окно, а не шкаф.
Потеря или кража. Доступ станции отзывается из центра за минуты: сеть, ИИ-ассистент, ключи к ABM. Новая станция собирается по стандартному набору и встаёт на место прежней.
Это главный вопрос, и ответ на него короткий: мы уже это делаем, каждый день.
Серверы ABM — UNIX-машины, которыми Arvut управляет удалённо с первого дня: тот же терминал, те же ключи, те же скрипты, те же ночные проверки. Для администратора станция — ещё одна машина того же типа в той же сети. Десять станций отличаются от одной не способом обслуживания, а длиной списка.
Что значит «обслуживать» на деле:
Чего это не покрывает, и чего мы не обещаем: разбитый экран и залитую клавиатуру чинит производитель по гарантии, как у любого Mac; первая разблокировка зашифрованного диска после перезагрузки требует человека у машины. И никакая система не защитит того, кто отдал свой пароль постороннему. Поэтому пароли и ключи у нас не ходят по почте.
Так выглядит открытие фидуциарии сегодня, помимо регистрации компании: купить программу для бухгалтерии, нанять бухгалтеров, купить компьютеры, заключить договор с IT-компанией, снять подвал, чтобы десять лет хранить бумагу.
С ABM этот список сжимается до одного пункта: договор с Arvut. Учёт, счета, банки, платежи и документы — наша работа; машина на столе, её защита, обновления и резервные копии данных — тоже наша работа, той же командой и тем же способом, что и серверы.
Для группы фидуциарий это и есть «одна IT вместо десяти». Купленная фирма получает станции по тому же списку, что и остальные; её прежняя программа остаётся для истории, книги переезжают на дату отсечения; доступы уходящих сотрудников отзываются из центра, а не собираются по кабинетам. Каждая следующая покупка — та же крепость, тот же стандарт, тот же администратор.
UNIX пятьдесят лет держит на себе банки, биржи и сам интернет. Мы ставим ту же крепость на стол бухгалтера.